1

Где её хранить и в каком виде? В базе данных, в отдельной строке в таблице Users?

1
  • Комментарии не предназначены для расширенной дискуссии; разговор перемещён в чат.
    – user177221
    1 авг 2019 в 10:09

1 ответ 1

0

Предлагаю использовать две соли.

Соль алгоритма хеширования одинаковая для всех пользователей, так что ее лучше хранить в виде константы в процедуре, которая вычисляет хеш от (логин пользователя+пароль пользователя+соль пользователя+соль алгоритма).

Соль пользователя можно хранить в таблице пользователей с полями: логин пользователя, хеш пароля пользователя, соль пользователя.

10
  • Одинаковая соль - это категорически неправильно, бесполезно и небезопасно. В нормальных системах у каждого пользователя своя собственная соль.
    – andreymal
    1 авг 2019 в 7:52
  • Наверное, это разная соль. Та соль, которая у каждого пользователя, если она хранится рядом с хешем и логином, компрометирует закодированный пароль. 1 авг 2019 в 8:10
  • Каким же образом компрометирует? Если я вам скину свой хеш пароля с солью, скажете мне пароль?
    – andreymal
    1 авг 2019 в 8:12
  • Две соли это лучше, но если злоумышленник взломает сервер, он всё равно без проблем прочитает обе соли, а своя реализация хеширования со второй солью лишь снизит переносимость и совместимость с другими системами, поэтому я считаю это немножко бесполезным
    – andreymal
    1 авг 2019 в 8:19
  • Если я получил доступ к таблице, то там еще и логин, а алгоритм хеширования скорее всего MD5 (можно другие подобрать). Осталось также подобрать порядок соединения соли, пароля и логина, и запустить перебор паролей. К тому же, не совсем понятно, почему одинаковая соль небезопасна (у нее есть конечно минусы, когда логин+пароль совпал у двух пользователей, то хеш получится одинаковый), но по крайней мере эта соль лежит отдельно от таблицы и вообще от БД где-нибудь на сервере приложений, т.е. для взлома паролей придется ломать не только БД, но и сервер. 1 авг 2019 в 8:26

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge that you have read and understand our privacy policy and code of conduct.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.